SBS Email Outbreak

Question

Eu tenho um cliente que está executando o SBS 2003 Std. e eles têm algum tipo de mailer em massa que é spam. Estamos executando os defs mais atuais. do antivírus Vipre, não somos uma configuração como um relé, mudamos a senha do administrador e a filtragem do destinatário está ativada. Todos os emails são de [email protected]. Eu sei que isso cheira a um ataque DNS reverso ou a uma coleta de diretório, mas temos o GFI Mail Essentials em execução e não está mostrando milhares de mensagens de entrada apenas milhares de mensagens de saída. Eles foram colocados na lista negra uma vez e eu os liberei, e tenho estado de olho na fila de e-mails para evitar que eles fiquem na lista negra novamente. Eu realmente preciso de ajuda, não sei o que mais pode ser feito para resolver esse problema!?

    

Answer 1

Não está claro para mim o que você está vendo.

Eu ativaria o "Message Tracking" no Exchange se ele ainda não estivesse ativado (consulte link ) e verificaria se o Exchange Server é ou não a fonte das mensagens.

Eu colocaria uma regra no firewall de borda para negar conexões de saída na porta TCP <<> exceto no computador do Exchange Server. Isso deve ser regra de firewall padrão em cada LAN - somente servidores de e-mail autorizados devem estar conversando com a Internet via porta TCP 25.

Se as mensagens realmente vierem do Exchange, o Message Tracking deve fornecer algumas pistas para rastrear a origem. Eu suspeito que você tem um mailer SMTP desonesto em execução em um dos PCs, no entanto. A regra do firewall deve parar isso e, supondo que seu firewall possa fazer algum registro, deve mostrar a você qual PC está obtendo o tráfego.

    

Answer 2

Sua pergunta é um pouco incerta: você diz que "eles têm algum tipo de mala direta em massa que é spam". Eu suponho que você quer dizer que não é intencional. Todos os e-mails são enviados pelo servidor (verifique as filas e isso é um servidor do Exchange 2003)? Também não está claro se esses 6 computadores clientes estão enviando spam pelo Exchange Server ou se estão enviando diretamente para a porta 25.

Eu vi o Exchange 2003, totalmente corrigido, configurado tecnicamente corretamente, ainda ter furos que permitiram relés. Os patches posteriores os corrigem, mas não conte com isso agora. Eu definitivamente estaria planejando mudar para o SBS 2011, mesmo que você não o faça imediatamente.

Eu estou com os outros caras: Eu tenho uma regra de firewall que SÓ deixa a saída do servidor de e-mail 25 de saída e uma regra de negação explícita para todos os outros. Assim, mesmo que você receba um vírus de envio de spam em todos os PCs, eles não poderão enviar diretamente, e seu ISP e o mundo não o odeiam. Isso tudo é mais fácil de fazer se você tiver um esquema de IP muito bom, caso contrário, você pode ter que fazer várias regras. Parece que você está infectado de alguma forma, mesmo que você ainda não tenha encontrado.

Para expor o que o gravyface disse, um serviço como o Postini do Google pode substituir seus filtros locais atuais de forma muito barata. Todo o correio entra e sai através deles, e é verificado por SPAM / vírus. Então você pode permitir a porta 25 em APENAS dos servidores do Google no seu firewall, então não há como ser retransmitido, a menos que o Google se estrague de alguma forma. Isso também tem o benefício de que, se você não tiver um registro MX secundário, como algumas empresas de pequeno porte não fazem, todo o email vai para os quatro servidores do Google para os quais você fornece registros MX e, mesmo que o servidor esteja inativo filas até o seu servidor ficar on-line novamente.